脆弱性バックログ型

いまの状態

脆弱性スキャンは実施しているものの、Critical・Highの件数が多すぎて、どれから対応すべきか判断できていない可能性があります。本質は「脆弱性が多いこと」ではなく、対応すべき脆弱性を実リスクで絞り込めていないことです（本番稼働の有無・実行時ロード・外部公開・攻撃経路・修正可能性などの文脈が必要です）。

放置するとどうなる

• Criticalが多すぎて開発チームに全部依頼できない
• 修正チケットを切っても優先順位に自信が持てず、放置されやすい
• 本番で実際に使われている脆弱性かどうか分からないまま対応判断をしている
• CVE対応が毎月の運用負債として積み上がっていく

※ こわがらせたいわけではなく、優先順位を考える材料です。影響は環境によって異なります。

まず測ってほしい指標

• 本番稼働中のCritical/High脆弱性の未対応件数
• 脆弱性の平均滞留期間（検出→対応着手）
• 実行コンテキスト（本番到達性）で優先度づけできている脆弱性の割合

Sysdig Secure ならこう変わる

Sysdig Secureの脆弱性管理は、ランタイム・CI/CD・レジストリのスキャン結果を統合し、実行時にロードされているパッケージに紐づく脆弱性を優先できます。すべてを同じ緊急度で直すのではなく、本番で実際に使われ、攻撃経路上にあるものから直せます。